摘要

  • RFC 3330 把分散的特殊用途 IPv4 网段集中起来，明确相似的数字可以服从完全不同的主机、来源、目的、转发与泄漏规则。
  • 2002 年表格只是历史快照。后继 RFC 与实时 IANA 登记表把分类变成多属性、带版本且受更具体前缀覆盖的系统。

同一个数字空间包含多种地点

普通地址可以指向公共路由中的主机，127/8 却应留在本机。RFC 1918 私有空间属于管理域内部，链路本地地址服务于单一链路，文档地址用于示例，基准测试地址属于隔离实验。组播与受限广播又有不同转发规则。

这些含义原本散落在多份 RFC 与号码记录中。RFC 3330 把它们收进一张视图，并把 IANA 为标准进程保留的特殊分配同 RIR 获得的普通地址空间区分开。它实际上在扁平的 32 位数值上叠加了一套运行类型。

类型不能互换。回环目的不该离开设备；外部接口上出现的私有来源不能自动证明“来自内部”；文档地址不该成为真实服务依赖；基准测试地址也不应污染生产转发。地址的字节相同，不代表允许的动作相同。

安全章节指出，互联网不会自动阻止特殊地址被滥用。若运营者认为 10/8 来源只能来自内网，边界设备必须执行过滤。地址是政策输入，不是来源证书。抓包看到私有地址，只能证明观察到这些位，不能证明数据包在哪里产生。

“特殊”从来不是一个布尔值

单一标记会丢失机制。某个地址可能可作来源却不可作目的，能在一条链路使用却不可转发，能在受限域转发却不应全球可达，或者由协议本身保留。主机、路由器、防火墙、文档检查器与测试工具对同一前缀询问的是不同问题。

RFC 3330 用文字表达差异。RFC 5735 更新快照，RFC 6890 随后建立可维护的 IPv4 与 IPv6 特殊用途地址登记表。现代条目分别记录来源有效、目的有效、可转发、全球可达与协议保留等属性。

RFC 8190 又澄清“全球可达”：它是预期运行属性，不是从此永远不会出现路由公告或泄漏的事实保证。公共观测器发现非全球前缀，可能说明泄漏、过滤失败、伪造或测量伪影，不会自动改写登记属性。

分类还需要最长前缀匹配。一个宽网段中可能包含语义不同的更具体条目。只识别第一个大类，会给来源或转发政策错误答案。证据收据应记录最长匹配条目以及决策使用的每一项属性。

表格会变化，因为网络会变化

RFC 3330 记录了正在退出特殊状态或后来改变用途的网段。这并非错误，而是时代快照。真正危险的是把 2002 年表格永久写进软件、安全报告或合规规则。

RFC 5737 后来保留三组文档前缀，RFC 3927 完整规定链路本地行为，RFC 6890 用持续维护的登记表取代静态文字。今天的运行权威是 IANA IPv4 Special-Purpose Address Registry，而 RFC 3330 是目录形成过程的历史证据。

版本不能任意向前或向后投射。现代属性不能证明 2002 年运营者受后来规则约束，旧 RFC 也不能单独判断今天的数据包。可辩护结论必须记录观察时间、登记快照、确切前缀和判断字段。

特殊分配过程也把技术需要与一般地址政策分开。标准文档需要一段 IPv4 空间时，应说明大小与前缀长度等需求；IANA 在发布前同 RIR 协商并完成分配。RFC 3330 描述了实践，本身没有给任意实验永久保留，也没有创造新分配要求。

登记条目不会自行执行

目录能告诉实现者地址预期怎样工作，却不能让所有主机拒绝无效来源、所有边界过滤泄漏或所有厂商及时更新列表。登记意图与实际行为之间的距离，是独立的运行表面。

私有地址可能因伪造或误配出现在公网，回环值可能作为本地接口约定进入日志，示例配置会把文档地址带入生产，基准测试流量也会污染遥测。判断每次事件都需要方向、接口、封装、转换状态与执行结果，而不只是“特殊”标签。

RFC 3330 的历史价值不是背诵著名前缀，而是认识到全球共享标识空间需要精确、可维护的例外语义。地址值、登记类型、执行动作与观察结果是四份不同收据。把它们合并，目录就会被误用成来源或可达性的假证明。

实际策略应从问题反推属性，而不是先问“它是否特殊”。入站反伪造关心来源有效性、接口位置与封装状态；路由决策关心目的有效性和可转发性；威胁调查还要知道捕获点、时间与地址转换。监测系统看到非全球地址时，应把它标为需要解释的异常，而不是凭一个标签直接宣布攻击来源。不同用途共享同一份平面黑名单，看似统一，实则把登记表没有表达的结论偷偷写进了执行层。

历史分析尤其需要版本意识。如果今天的登记条目与某份旧日志所处年代不同，当前属性只能说明现在的政策，不能自动恢复当时设备应有的行为。研究者必须保存或重建当时有效的 RFC、登记快照、实现版本和本地规则，再把它们与原始数据包记录对齐。这正是可维护登记表相对静态清单的进步：变化不再被当作例外遗忘，而能作为带时间的证据被追踪。

同样，地址分类从不认证起点。外部接口上的私有来源可能是伪造、误配、隧道解封后的内部包，也可能来自采集位置的误解。只有结合接口日志、路径证据、NAT 或隧道状态，才能缩小解释范围。登记表提供语义边界，不替代事件因果链。

来源